Druckbare Version
Hallo Leute,
ich würde gerne in einigen privathausern Server hinstellen welche von außen erreichbar sein sollen. Diese privaten Leute haben aber keine Ahnung von Routern oder sonstigen. Dh.
Was habe ich für Möglichkeiten? Reserve Ssh würde gehen.. Aber funktioniert das auch mit mehreren clients?
Die Leute sollen sich über eine globale Website anmelden. Dann aber mit ihrem lokalen Server verbunden sein.
Ohne tiefergehende Informationen fällt mir da eigentlich nur VPN ein, mit dem das einigermaßen unfallfrei und unabhängig von der lokalen Netzwerkkonfiguration funktionieren könnte...
Teamviewer wäre eine Möglichkeit.
Reverse SSH würde aber auch gehen. Du kannst ja die lokalen Ports selbst angeben.
Ja. Würde auch an SSH-Reverseproxy denken. Wenn es mehrere lokale Server sind, kann man entweder verschiedene Ports verwenden, oder aber zusätzlich einen Apache als Reverse-Proxy verwenden und z. B. entweder verschiedene virtuelle Hosts oder verschiedene Verzeichnisse auf die einzelnen Server lenken.
Verschiedene Hersteller machen das ja auch irgendwie so... Smart Home z.b. Da loggen die Nutzer sich ja auch auf einer globalen Seite an.. Oder?
Da reicht ggf. schon ein kleiner DNS-Trick. fritz.box tut ja auch bei jedem zu Hause...
Wie gesagt - für mein Empfinden fehlen ein paar Infos, was Du denn genau wie und warum erreichen willst.
Es gibt x Webserver die beim Kunden zuhause laufen.
Die Kunden sollen nun auch von unterwegs auf diesen Server zugreifen können ohne einrichtung von portforwarding etc.
Ich dachte da an eine Art cloud.
User A loggt sich auf. www.globaleseite.de an und wird mit seiner lokalen Seite verbunden.
User B macht das gleiche nur wird der halt auf eben seine lokale Seite geleitet.
Man könnte auch noch ein VPN zwischen dem Server von www.globaleseite.de und dem internen Netz aufbauen. Vielleicht ist das einfacher als die ganzen SSH-Rückwärtsportweiterleitungen zu konfigurieren. Das braucht dann aber den Reverseproxy im Webserver, damit das angenehm benutzbar bleibt. Man könnte natürlich auch ein Port-Forwarding auf bestimmte Ports machen, aber wenn man mit Webseiten zu tun hat, verursacht das verwenden von Ports anders als 80 bzw. 443 immer irgendwelche Unbequemlichkeiten - so mein Gefühl zu der Sache.
Klingt für mich immer noch nach VPN und ein bisschen Apache-VHost-Geproxie.
... und nach einigem Vertrauen, welches $kunde haben muss, daß er sich einen Server direkt in's eigene Netzwerk stellt, der "offen" für einen hoffentlich vertrauenswürdig abgesichertern Server im Internet ist.
Aber würde das ein globales Server hinbekommen Sag ich jetzt mal vllt irgendwann mal 100te oder 1000de VPN zu erwarten und aufrecht zu halten?
1000de? Vermutlich nö. Aber dafür ist das Konzept auch broken by Design - mMn,
Wobei VPNs mit 1000den Endpunkten per se kein Problem sind.
broken by Design?
Geht mir auch so. Es ist nicht besonders sicher, mal so generell Leute von Außen ins interne Netz zu leiten.
VPN? Da muss man doch wieder fummeln, geht ja darum, dass man gerade das vermeiden will. Weil man halt weiss, dass dann immer so Layer 8 Probleme auftreten.
Was macht man da? Naja man orientiert sich an der Schadsoftware ;)
Kurz Übersicht:
Eine Software, was zu einem Server im Internet verbindet - aka bot
Klassisch ist es so, dass man auf dem Server ein Chat laufen hat - IRC, XMPP sowas halt. Moderner sind Message Broker, ganz heiss und begehrt ist da MQTT, weil das angeblich super duper dolle mit Smart Devices kann. Am Ende muss man halt beidseitig Nachrichtigen tauschen können, der Server im Netz muss seine Bots ja befehligen können - logisch :p
Wie auch immer, der Server sagt dem Bot, ruf mal die Webseite vom Lokalen Server ab und schick mir die zu. Was den empfangen wird leitet der Server an den User weiter. Ist natürlich alles "selfmade", aber IOT muss das wohl so haben. Ich traue diesen Lösungen jedenfalls nicht. Halte sie also bitte optional, gibt ja noch Leute die keinen Bock drauf haben, dass alles was mit IOT zu tun hat, so funktionieren muss - ist da aber leider halt üblich und der klassische Layer 8 User findet das toll.
VPN musst Du doch nicht fummeln - wenn die Kiste "as it is" ist kommt die doch fertig eingerichtet bei Dir an - anschließen, einschalten, der Rest läuft automatisch (VPN aufbauen, überwachen, ...)
Spannend wird es dann, wenn ein zentraler Server als VPN-Endpoint nicht mehr reicht.
... und natürlich wenn man den Leuten klar machen muss, daß man sich ein von $kunde nicht kontrollierbares System in's eigene Netz holt.
(davon, daß die meisten Internetprovider den dauerhaften Betrieb von Server-Diensten per AGB ausschließen mal abgesehen)
Das kann man doch clustern oder per LB auffangen. Ansonsten kannst das natürlich auch schon vor dem Server auf dedizierten vpn-gateways terminieren.
Kunden sollten spätestens auf layer2 sowieso in komplett eigenen Netzsegmenten laufen. (dedizierte VLANs und VRFs etc. pp.)
Ein Bekannter von von mir kauft für sowas immer kleine Barebones, die werden vor die Lokationsrouter gehängt, da läuft dann vorkonfiguriertens PFSense oder IPfire oder was drauf.
Wenns zickt schickt er einfach ne zweite fertig konfigurierte box. Die müssen sie dann nur noch an Port A und B stöpseln und gut.
Die zickige sammelt er dann irgendwann ein oder lässt sie sich zuschicken und macht sie wieder für den nächsten Versand fertig.